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Verfahren und Vorrichtung zur Umschaltunp zwischen weniestens zwei Betriebsmodi 
einer Prozessoreinheit 

Stand der Technik 

Die Erfindung geht aus von einem Verfahren und einer Vorrichtung zur Umschaltung 
zwischen wenigstens zwei Betriebsmodi einer Prozessoreinheit sowie entsprechender 
Prozessoreinheit mit wenigstens zwei Ausfuhrungseinheiten zur Abarbeitung von 
Programmen gemaB den Oberbegriffen der unabhangigen Anspriiche. 

Solche Prozessoreinheiten mit wenigstens zwei integrierten Ausfuhrungseinheiten sind 
auch als Dual-Core- oder Multi-Core-Architekturen bekannt, Solche Dual-Core- oder 
Multi-Core-Architekturen werden nach heutigem Stand der Technik hauptsachlich aus 
zwei Griinden vorgeschlagen: 

Zum Einen kaim damit eine Leistungssteigerung, also eine Performance-Steigerung 
erreicht werden, indem die beiden Ausfuhrungseinheiten oder Cores als zwei 
Recheneinheiten auf einem Halbleiterbaustein betrachtet und behandelt werden. In dieser 
Konfiguration bearbeiten die zwei Ausfuhrungsemheiten oder Cores unterschiedliche 
Programme respektive Tasks. Dadurch lasst sich eine Leistungssteigerung erzielen, 
weshalb diese Konfiguration als Leistungsmodus oder Performance-Mode bezeichnet 
wird. 

Neben dem Einsatz als superskalare Prozessoren ist der zweite Grund eine Dual-Core- 
oder Multi-Core-Architektur zu realisieren, die Steigerung der Sicherheit, indem beide 
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Ausfuhrungseinheiten redundant das gleiche Programm abarbeiten. Die Ergebnisse der 
beiden Ausfiihrungseinheiten werden verglichen, und ein Fehler kann dann bei dem 
Vergleich auf Ubereinstimmung erkannt werden. Im Folgenden wird diese Konfiguration 
als Sicherheitsmodus oder safety-mode bezeichnet. 

Im Allgemeinen sind die beiden genannten Konfigurationen exklusiv auf der Dual- oder 
Multi-Core-Architektur enthalten, d. h. der Rechner mit den wenigstens zwei 
Ausfiihrungseinheiten wird prinzipiell nur in einem Modus betriebeii: Entweder dem 
Performance-Modus oder dem Safety-Modus. 

Aufgabe der Erfindung ist es nun, einen kombinierten Betrieb einer solchen Dual- oder 
Multi-Core-Prozessoreinheit bezuglich wenigstens zwei Betriebsarten zu ermoglichen 
und dabei erne optimale Umschaltstrategie zwischen wenigstens zwei Betriebsmodi, also 
insbesondere zwischen Sicherheitsmodus und Leistungsmodus zu erzielen. 

Vorteile der Erfindung 

Es ist zum Einen aus Sicherheitsgriinden eine redundante Ausfuhrung der Programme 
respektive Tasks, also auch von Aufgabenprogrammen, Programmteilen, also 
Codeblocken oder auch einzelnen Befehlen erwiinscht, aber andererseits aus 
Kostengrtinden das Bereithalten von voUstandig redundanter Hardware bei der 
Ausfuhrung der nicht sicherheitskritischen Funktionen nicht erstrebenswert. Dieser 
Zielkonflikt wird erfindungsgemali durch eine optimierte Umschaltung zwischen 
wenigstens zwei Betriebsmodi bei einer Prozessoreinheit gelost. So geht die Erfindung 
von einem Verfahren und einer Vorrichtung zur Umschaltung zwischen wenigstens zwei 
Betriebsmodi einer Prozessoreinheit mit wenigstens zwei Ausfuhrungseinheiten sowie 
entsprechender Prozessoreinheit aus. Die Prozessoreinheiten konnen dabei zum Einen 
vollstandige Cores, also vollstandige CPUs sein oder aber auch in einem bevorzugten 
Ausfuhrungsbeispiel wird nur das Rechenwerk dupliziert. Der Vorteil ist, wenn nur das 
Rechenwerk (ALU) dupliziert wird und die anderen Komponenten der CPU durch andere 
Fehlerentdeckungsmechanismen abgesichert werden, benotigt die vorgestellte Schaltung 
zusatzlich weniger Chipflache als eine vollstandige Dual-Core-Architektur. Trotzdem 
kann aber mit dem erfindungsgemaBen Verfahren, also gleichermaBen ftir Doppel-CPU 
oder Doppel-ALU eine ausreichende Fehlerabdeckung im Sicherheitsmodus, und bei 
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nicht sicherheitsrelevanten Berechnungen eine deutliche Leistungssteigerung im 
Leistungsmodus erzielt werden. Die Erfindung geht also von einem Verfahren und einer 
Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi einer 
Prozessoreinheit mit wenigstens zwei AusfUhrungseinheiten zur Abarbeitung von 
Programmen aus, wobei vorteilhafter Weise den Programmen wenigstens eine Kennung 
zugeordnet ist, welche eine Unterscheidung in die wenigstens zwei Betriebsmodi, also 
insbesondere Sicherheitsmodus und Leistungsmodus eriaubt und eine Umschaltung 
zwischen dem Betriebsmodi in Abhangigkeit von der Kennung erfolgt, so dass die 
Prozessoreinheit die Programme entsprechend des zugeordneten Betriebsmodus 
abarbeitet. 

Dabei umfasst der Begriff Programme auch Programmteile, also Codeblocke, die sich 
Ober mehrere Programme vollstandig oder ansteilig erstrecken iiber Aufgabenprogramme, 
die in den einzelnen Programmen enthalten sind oder von den Programmen gebildet 
werden bis hin zu einzelnen Programmbefehlen, denen jeweils eine Kennung zugeordnet 
wird. 

Dabei kann eine solche Kennungszuordnung zur Umschaltung zwischen den einzelnen 
Betriebsmodi auf Funktionsebene, also insbesondere zur Steuerung von Betriebsablaufen 
bei einem Fahrzeug, Einsatz finden. Andererseits konnen auch vorteilhafter Weise 
Programme oder entsprechende Aufgabenprogramme, Programmteile oder 
Programmbefehle, die zu einem Betriebssystem der Prozessoreinheit gehoren oder dieses 
Betriebssystem darstellen, durch solche Kennungen dem entsprechenden Betriebsmodus 
zugeordnet werden. 

Zweckm^Biger Weise werden bei der Abarbeitimg der Programme die dabei entstehenden 
Zustande oder Ergebnisse auf Ubereinstimmung verglichen, wobei bei Abweichung auf 
Fehler erkannt wird. 

Dabei ist es besonders zweckmaBig, dass die Programme synchron abgearbeitet werden. 

Vorteilhafter Weise ist die Kennung als wenigstens ein Bit ausgebildet, wobei eine solche 
Kennung zweckmaBiger Weise durch einen Programmbefehl, insbesondere durch einen 
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im Befehlssatz der Prozessoreinheit vorgesehenen Befehl, wie beispielsweise einem 
Schreibbefehl erzeugt wird. 

Diese Kennung kann zam Einen dem entsprechenden Programm, Programmteil, 
Ausfuhrungsprogramm oder Programmbefehl zugeordnet sein oder aber in einen 
speziellen, vorgesehenen Speicherbereich eingeschrieben sein oder werden. 

Somit kann abhangig von der Kennung eine optimierte Umschaltung zwischen zwei 
Betriebsmodi, insbesondere dem Leistungsmodus und dem Sicherheits-Modus bei einer 
Dual-Core- Arch itektur oder eine Architektur mit lediglich dupliziertem Rechenwert, also 
einer Doppel-ALU erfolgen. 

Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus der Beschreibung 
sowie den Merkmalen der Anspriiche. 

Zeichnung 

Die Erfindung wird im weiteren anhand der in der Zeichnung dargestellten Figuren naher 
erlautert. 

Dabei zeigt Figur 1 und Figur 2 jeweils eine Prozessoreinheit mit dupliziertem 
Rechenwert, bei welcher die erfindungsgemafie Umschaltung durchfuhrbar ist. 

Figur 3 zeigt die Umschaltung aus dem Sicherheitsmodus in den Leistungsmodus und 
Figur 4 zeigt die Umschaltung vom Leistungsmodus in den Sicherheitsmodus. 

Figur 5 zeigt anhand einer Anzahl von Codezeilen 500 die Zuordnung der Kennzeichen 
zu den Programmen, Programmteilen, Aufgabenprogrammen oder Befehlen. 

Beschreibung der Ausfiihrungsbeispiele 

In den Figuren 1 und 2 der Zeichnung sind gleiche bzw. funktionsgleiche Elemente 

sofern nichts anderes angegeben ist - mit gleichen Bezugszeichen versehen worden. 
Die erfmdungsgemaBe programmgesteuerte Einheit sowie deren Komponenten wie 
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Mikrocontrollerkem (CPU), Speichereinheiten, Peripherieeinheiten usw. sind der 
besseren Obersichtlichkeit halber in den Figuren 1 und 2 nicht direkt dargestellt worden. 
Allerdings kSnnen die beiden Rechenwerke ALU A und Alu B ebenso kompletten Cores, 
also CPUs im Rahmen der Erfindung entsprechen, so dass die Erfindung auch fur 
5 komplette Dual-Core-Architekturen Einsatz finden kann. Bevorzugt ist allerdings, dass 

nur das Rechenwerk dupliziert wird und die anderen Komponenten der CPU durch andere 
Fehlerentdeckungsmechanismen abgesichert werden. 

In den Figuren 1 und 2 sind mit den Bezugszeichen 1 und 2 jeweils arithmetisch logische 

1 0 Einheiten (ALU) als Ausfiihrungseinheiten bezeichnet. Eine jeweilige ALU-Einheit 1,2 

weist zwei Eingange und einen Ausgang auf. In einem Testbetrieb k5nnen die zur 
Ausfiihrung vorgesehenen Operanden direkt vom Bus 3 in die Eingange der ALU- 
Einheiten 1, 2 eingekoppeit werden oder vorher in einem eigens dafur vorgesehenen 
Operandenregister 8, 9 abgelegt sein. Diese Operandenregistern 8, 9 sind direkt mit dem 

15 Datenbus 3 gekoppelt. Die beiden ALU-Einheiten 1, 2 werden also aus den gleichen 

Operandenregistern 8, 9 versorgt. Zusatzlich kann vorgesehen sein, dass die jeweiligen 
Operanden iiber den Bus here its mit einer ECC-Codierung versehen sind, welche in den 
Registerbereichen 8a, 9a abgelegt werden. D. h. an alien Stellen in den Figuren 1 und 2, 
in denen ECC angegeben ist, konnen die Daten durch Einsatz eines ECC-Codes (Error 

20 Correction Code) abgesichert sein. Solche Methoden zur Fehlererkennung sind vielfaltig, 

wobei die Gnindvoraussetzung die Absicherung mit einem Fehlererkennungs- bzw. 
Fehlerkorrekturcode, also einer Signatur darstellt. Im einfachsten Fall kann diese Signatur 
nur aus einem Signaturbit, beispielsweise einem Parity-Bit bestehen. Andererseits kann 
die Absicherung auch durch komplexere ED-Codes (Error Detection) wie einen Berger- 

25 Code oder einen Bose-Lin-Code usw. oder auch durch einen komplexeren ECC-Code wie 

beispielsweise einen Hamming-Code usw. realisiert werden, um durch entsprechende 
Bitzahl eine sichere Fehlererkennung zu ermoglichen. Es kann aber auch als 
Codegenerator, beispielsweise eine Generatortabelle (fest verdrahtet oder in Software) 
verwendet werden, um bestimmten Eingangsmustem der Bits im Rahmen der Adresse ein 

30 gewiinschtes Codemuster beliebiger Lange zuzuordnen. Damit kann, insbesondere durch 

die Korrekturfunktion, die Datensicherheit gewahrleistet werden, Dennoch erfolgt im 
sicherheitskritischen Modus, also im Sicherheitsmodus SM eine redundante Abarbeitung 
der sicherheitskritischen Programme in beiden Ausfiihrungseinheiten, also hier beiden 
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ALUs 1 und 2, wodurch Fehler in diesen durch Vergleich auf Cbereinstimmung 
erfindungsgemafi aufgedeckt werden. 

Die nicht sicherheitsrelevanten bzw. nichtsicherheitskritischen Programme oder Tasks 
respektive Programmteile oder Codebldcke oder Befehle komien zur Leistungserhohung 
auf beiden Ausfiihrungseinheiten verteilt berechnet werden, wodurch sich der Durchsatz 
und damit die Leistung erhSht. Dies erfolgt im sogenannten Leistungsmodus oder 
Perfonnancemode LM. 

Bei Einkopplung der jeweiligen Operanden in die ALU-Einheiten 1, 2 muss besonderer 
Wert auf die korrekte Dateneingabe gelegt werden. Werden z. B. die gleichen 
fehlerhaften Operanden in die beiden ALU-Einheiten 1, 2 eingekoppelt, ist ein Fehler am 
Ausgang der ALU-Einheiten 1, 2 nicht erkennbar. Es muss daher sichergestellt sein, dass 
zumindest eine der ALU-Einheiten 1 oder 2 einen korrekten Dateneingabewert erhSlt 
bzw. auch beide ALU-Einheiten 1, 2 unterschiedliche, jedoch falsche Dateneingabewerte 
erhalten. Dies wird dadurch sichergestellt, dass von zumindest einem Eingangswert einer 
ALU-Einheit 1, 2 eine PrUfsumme, also ein ECC-Code, wie oben erwahnt, gebildet wird. 
In einer eigens vorgesehenen Vergleichseinheit 5, 6 wird die ECC-Codiening 10a, 1 la 
aus diesen zusatzlichen Datenregistem 10, 1 1 mit der ECC-Codierung 8a, 9a aus dem 
ursprunglichen Quellregister 8, 9 verglichen. Optional konnen auch die Eingangsdaten 
aus den Registem 10, 11 mit denen aus den Quellregistem 8, 9 verglichen werden. Ergibt 
sich ein Unterschied in der ECC-Codierung bzw. bei den Operanden, dann wird dies als 
Fehler interpretiert und es wird ein Fehlersignal ausgegeben, unter Umstanden angezeigt 
und unter Umstanden korrigiert. Dieser Vergleich erfolgt vorteilhafler Weise wahrend der 
Bearbeitung der Operanden in den ALU-Einheiten 1, 2, so dass diese eingangsseitige 
Fehlererkeimung und Fehlerkorrektur nahezu ohne Leistungsverlust einhergeht Erkennt 
eine der Vergleichseinheiten 5, 6 einen Fehler, so kann die Berechnung innerhalb des 
nachsten Zyklus wiederholt werden. Dabei kann ein Schattenregister Einsatz fmden, um 
immer die Operanden der letzten Berechnung zu sichem, damit sie in einem Fehlerfall 
schnell wieder verfiigbar sind. Auf die Bereitstellung eines solchen Schattenregisters 
kann allerdings verzichtet werden, wenn die jeweiligen Operandenregister 10, 11 erst 
wieder durch ein Freigabesignal aufgrund des Nichtvorhandenseins eines Fehlers emeut 
beschrieben werden. Im Falle eines Fehlers liefern die Vergleichseinheiten 5, 6 ein 
Fehlersignal, wodurch die Operandenregister 10, 1 1 nicht emeut beschrieben werden. 
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Die ALU-Einheiten 1, 2 erzeugen ausgangsseitig jeweils ein Ergebnis. Die von den ALU- 
Einheiten 1, 2 bereitgestellten Ergebnisdaten bzw. deren ECC-Codierung werden in den 
Ergebnisregistem 12, 13, 12a, 13a abgelegt. Diese Ergebnisdaten und/oder deren 
Codierung werden in der Vergleichseinheit 14 miteinander verglichen. Im Falle des 
Nichtvorhandenseins eines Fehlers wird ein Freigabesignal 16 erzeugt. Dieses 
Freigabesignal 16 wird in die Freigabeeinrichtung 15 eingekoppelt, welche dazu 
veranlasst wird, die Ergebnisdaten auf einen Bus 4 zu schreiben. Uber den Bus 4 konnen 
diese Ergebnisdaten dann wieder verarbeitet werden. 

Das Freigabesignal 16 kann femer dazu genutzt werden, die Register 8 bis 1 1 wieder 
freizuschalten, so dass die nachsten Operanden vom Bus 3 ausgelesen werden konnen 
und in den ALU-Einheiten 1 , 2 verarbeitet werden konnen. 

1 5 Mit der Anordnung in Figur 1 wird das Ergebnis nicht iiberprtift. Hier werden lediglich 

die Ergebnisdaten in der Vergleichseinheit 14 miteinander verglichen. Eine Uberprufiing 
der ECC-Codierung der Ergebnisdaten wird erst dutch die Anordnung in Figur 2 
moglich, bei der sowohl die Ergebnisdaten als auch deren ECC-Codierung miteinander in 
der Vergleichseinheit 14 verglichen werden. 

20 

Mit den in den Figuren 1 und 2 angegebenen Fehlererkennungsanordnungen werden alle 
transienten Fehler, permanenten Fehler und auch Laufzeitfehler erkannt. Laufeeitfehler 
innerhalb einer ALU-Einheit 1, 2 werden erkannt, wenn das Ergebnis nicht oder zu spat 
zu der Vergleichseinheit 12 gelangt und somit ein Vergleich mit einem Teilergebnis 
2 5 erfolgt. Durch die Absicherung der Operandenregister 8,9, 10, 11 mit Fehlererkennungs- 

und Fehlerkorrekturcode und dem Vergleich der Endergebnisse ist der jeweilige Fehlerort 
und Fehlerzeitpunkt genau zu lokalisieren. Somit kann auf eine transiente Stoning sehr 
schnell reagiert werden. 

30 Es ergeben sich somit die folgenden Moglichkeiten zur Fehlerlokalisierung: 



Ergibt ein Vergleich der Ergebnisdaten in der Vergleichseinheit 14 einen Unterschied, 
dann kann auf einen Fehler innerhalb der ALU-Einheiten 1 , 2 geschlossen werden. 
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Ergibt ein Vergleich der ECC-Codierung in einer der Vergleichseinheiten 5, 6 einen 
Unterschied, dann kann auf ein fehlerhaftes Signal von dem Bus 3 bzw. vorgeschalteten 
Komponenten geschlossen werden. 

Ergibt ein Vergleich der ECC-Codiemng in der Vergleichseinheit 14 einen Unterschied, 
dann kann auf eine fehlerhaite Codierung des Ergebnisses geschlossen werden. 

Zur Umschaltung zwischen dem genannten Sicherheitsmodus, in dem eine redundante 
Abarbeitung und Priifiing erfolgt und dem Leistungsmodus, bei dem eine 
Leistungssteigerung durch separate Programmabarbeitung erreicht wird, dient eine 
Umschalteinrichtung UE 17. Durch diese Umschalteinrichtung 17 werden dieElemente 
8, 9 und 1, 2 so geschaltet, dass im einen Fall, also im Sicherheitsmodus SM eine 
redundante Programmabarbeitung, insbesondere eine synchrone Programmabarbeitung 
erfolgt und im zweiten Betriebsmodus, dem Leistungsmodus LM eine parallele 
Abarbeitung unterschiedlicher Programme vollzogen werden kann. Dazu konnen Schalter 
Oder Schaltmittel vorgesehen sein, die zum Einen in den Elementen 8, 9 respektive 1, 2 
Oder auch in der Umschalteinrichtung 17 lokalislert sein konnen oder zusatzlich separat 
von den Elementen 8, 9, 1,2 bzw. 17 in der Schaltung enthalten sind. 

Zur Umschaltung erfolgt eine Kennzeichnung der Programme oder Aufgabenprogramme 
oder Programmteile, also Codeblocke oder auch der Befehle durch eine Kennung, durch 
welche erkennbar ist, ob diese sicherheitsrelevant sind, also im Sicherheitsmodus SM 
abgearbeitet werden mussen oder dem Leistungsmodus LM zuganglich gemacht werden 
konnen. Dies kann durch ein Bit im Befehl erfolgen, oder es kann durch einen speziellen 
Befehl die darauffolgende Sequenz gekennzeichnet werden. Dies wird naher anhand der 
unterschiediichen Kennzeichnungsmoglichkeiten bei Figur 5 noch einmal beschrieben. 

Dabei konnen die Programme zum Einen Anwendungsfunktionen umfassen, also 
insbesondere z. B. zur Steuerung von Betriebsablaufen bei einem Fahrzeug vorhanden 
sein, oder aber die Umschaltung erfolgt beziiglich Programmen, bei denen die 
Kennzeichnung auf Betriebssystemebene erfolgt, also z. B. eine Zuordnung ganzer 
Betriebssystemtasks. 
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Bei einer Decodierung kann nun die Umschalteinrichtung 17 erkennen, ob die nun 
folgende Berechnung sicherheitsrelevant ist, also im Sicherheitsniodus ausgefiihrt warden 
soil Oder nicht. 1st dies der Fall, so werden die Daten an beide AusfUhrungseinheiten 1 
und 2 Obergeben. 1st dies nicht der Fall, wird also im Leistungsmodus weitergearbeitet, so 
5 bekommt eine Ausfuhrungseinheit die Daten bereitgestellt und gleichzeitig kann die 

nachste Anweisung, wenn diese ebenfalls nicht sicherheitsrelevant ist, an die zweite 
Ausfuhrungseinheit gegeben werden, so dass die Programme parallel mit hoherem 
Durchsatz abgearbeitet werden. 

Im ersten Fall beispielsweise dauert die Berechnung des Ergebnisses bei synchroner 
Abarbeitung auf beiden Einheiten gleich lang. Die Ergebnisse stehen also im 
Sicherheitsmodus bei synchroner Abarbeitung gleichzeitig bereit. Diese Daten werden 
nun am Ausgang entsprechend 12 und 13 wieder mit einer Codierung versehen, und es 
werden die Daten und/oder die Codierung dieser Daten, wie in den Figuren 1 und 2 
beschrieben, bei Result a und Result b verglichen. Stimmen sie iiberein, so werden die 
Daten freigegeben; ansonsten erfolgt eine der angesprochenen Fehlerreaktionen. Im 
zweiten Fall, also im Leistungsmodus LM, wenn die Daten parallel abgearbeitet werden, 
wird der Komparator oder Vergleicher 14 am Ausgang der beiden Rechenwerke nicht 
angesteuert und die Ergebnisse Result a und Result b werden nacheinander wieder in die 
Registerbank zuriickgeschrieben und kormen auch nacheinander ausgegeben werden, wie 
es auch in einem superskalaren Prozessor der Fall ist 

Dieser erfindungsgemSBe Umschaltvorgang wird noch einmal in den Figuren 3 und 4 
erlautert. Dabei zeigt Figur 3 die Umschaltung aus dem Sicherheitsmodus in den 
2 5 Leistungsmodus und Figur 4 die Umschaltung vom Leistungsmodus in den 

Sicherheitsmodus. 

Um von dem ersten Betriebsmodus, also hier dem Sicherheitsmodus oder Safetymode 
SM in den zweiten Betriebsmodus, also hier den Leistungsmodus oder Performancemode 
30 LM zu gelangen, ist eine Kennung und eine entsprechende Umschaltung erforderlich. In 

Figur 3 ist dies noch einmal verdeutlicht. In Block 300 ist die Ausfuhrungseinheit 1 im 
zweiten Betriebsmodus, dem Leistungsmodus. Ebenso ist im Block 310 die zweite 
Ausfuhrungseinheit 2 auch im Leistungsmodus. GleichermalJen werden durch die 
Umschalteinrichtung 17, die beispielsweise als Decoderbaustein ausgebildet ist, 
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respektive einen solchen enthalt, die Elemente 8 und 9 gesteuert bzw. geschaltet. Im 
Block 320 bzw. Block 321 wird nun entsprechend des Programmablaufs der jeweiligen 
AusfQhrungseinheit 1 oder 2 wenigstens eine Kennung festgestellt, durch welche eine 
Umschaltung in Block 330 von beiden Ausfuhrungseinheiten in den ersten 
Betriebsmodus, den Sicherheitsmodus SM, erfolgt. Dadurch laufen beide Zweige iiber die 
Bl5cke 8 und 9 und die Ausfiihrungseinheiten 1 und 2 wieder redundant und 
insbesondere synchron bezuglich der durch die Kennung gekennzeichneten 
sicherheitsrelevanten Programme, so dass wieder der Sicherheitsmodus SM vorliegt. 
Dabei geniigt es, dass in einem Programmlauf im Leistungsmodus, also in einem Zweig 
eine soiche Kennung zur Umschaltung vorhanden ist, urn beide Ausfuhrungseinheiten in 
den Sicherheitsmodus zu fiihren. Dabei muss unter Umstanden noch die Abarbeitung des 
bereits angefangenen Programmcodes der anderen Ausfuhrungseinheit abgearbeitet 
werden, um beide dann im Sicherheitsmodus weiterarbeiten zu lassen. Andererseits kann 
es auch vorgesehen sein, sofort in den Sicherheitsmodus zu wechsehi und bei einem 
nachfolgenden Leistungsmodus das angefangene Programm beginnend von der 
Unterbrechimgsstelle weiter abzuarbeiten. 

Um von dem ersten Betriebsmodus, also hier dem Sicherheitsmodus in den zweiten 
Betriebsmodus, den Leistungsmodus zu gelangen, wird nun entsprechend Figur 4 
2 0 ebenfalls eine Kennung verwandt. Im Block 200 sind beide Ausfuhrungseinheiten 1 und 

2 und entsprechend die Zweige mit den Blocken 8 und 9, also der Operandenzuschaltung 
im Sicherheitsmodus, dem ersten Betriebsmodus. In Abfrageblock 210 wird nun gepruft, 
ob eine Umschaltkennung vorliegt, respektive ob eine vorliegende Kennung die 
Umschaltung in den Leistungsmodus moglich macht. 1st dies nicht der Fall, liegt also 
2 5 keine Kennung vor oder zeigt die Kennung weiterhin den Sicherheitsmodus an, gelangt 

man wieder zu Block 200 und die Programme werden weiter im Sicherheitmodus 
abgearbeitet. 1st eine Kermung vorhanden respektive zeigt diese die Umschaltung an, 
erfolgt im Block 220 die Umschaltung bzw. der Wechsel in den zweiten Betriebsmodus, 
den Leistungs- oder Performancemode LM. Da im Sicherheitsmodus parallel, also 
30 redundant, die gleichen Programme abgearbeitet werden, erfolgt hier eine Umschaltung 

nur, wenn fur beide Zweige im Leistungsmodus, also Block 8 und ALU 1 sowie Block 9 
und ALU 2 eine Umschaltung aufgrund der Kennung vorgesehen ist. Erfolgt eine 
vollsynchrone Abarbeitung, also eine zeitgleiche Abarbeitung des Programms, ist dies 
ohnehin gegeben, erfolgt eine nichtsynchrone Abarbeitung des Programms, muss von der 
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schnelleren AusfUhrungseinheit auf die zurQckliegende gewartet werden, so dass die 
Umschalteinrichtung 17 erst dann umschaltet, wenn beide Kennungen vorliegen bzw. 
ausgewertet sind. Eine solche Synchronitat muss auch zum Ergebnisvergleich bzw. ECC- 
und Ergebnisvergleich gemafi der Blocke 12, 13 und 14 sowie 12a und 13a entweder 
durch Zeitgleichheit erzwungen oder durch Warten erzeugt werden. 

In Block 230 ist somit dann der erste Zweig, also Block 8 und AusfUhrungseinheit 1 
wieder im Leistungsmodus und im Block 23 1 der zweite Zweig mit Block 9 und 
Ausfiihrungseinheit 2, wodurch dann die erfindungsgemaBe Umschaltung voUzogen ist. 

Damit ist entsprechend der Aufgabe eine optimierte Umschaltung zwischen zwei 
Betriebsmodi einer Prozessoreinheit mit zwei integrierten Ausfiihrungseinheiten 
erfindungsgemafi dargestellt, wobei die Kennung auf verschiedenste Art und Weise 
entsprechend Figur S in einem Programm- oder Datenzeilenabschnitt 500 eingebracht 
oder lokalisiert sein kann. Im Weiteren sprechen wir bei den Zeilen in Figur 5 von 
Programmzeilen, wobei auch hier Programm- und Datenzeilen in beliebiger Kombination 
moglich sind. 

So sind in Figur 5 beispielhait die Programme PI von Zeile Zl bis Zeile Z6, P2 von Zeile 
Z7 bis Zeile ZI5 und P3 von Zeile Zl 6 bis Zeile Z19 dargestellt Mit AP ist ein 
Aufgabenprogramm beispielsweise als Teil eines Programmes PI dargestellt, wobei auch 
mehrere Programme, z. B. PI und P2, zusammen ein Aufgabenprogramm bilden konnen. 
Mit CB ist ein Codeblock dargestellt, also ein Programmteil, der beispielsweise Zeilen 
zweier Programme, hier Z14 bis Z18 der Programme P2 und P3 umfasst. Ebenso kann ein 
solcher Codeblock, also ein Programmteil nur Teil eines Programmes sein. Weiterhin ist 
mit PB3 entsprechend Zeile Z19 ein Programmbefehl dargestellt Mit Zeilen ZSl und 
ZS2 ist ein spezieller Speicherbereich SSB dargestellt, der als vorgegebener 
Speicherbereich eine solche Kennung, hier KB enthalten ksmn. Daneben sind mit KI, K2, 
K3 und K4 sowie KB verschiedene Kennungen dargestellt, die den unterschiedlichen 
Moglichkeiten des erfindungsgemafien Verfahrens Rechnung tragen. Bezuglich des 
Einsatzes der Kennung gibt es nun verschiedene Moglichkeiten: Zum Einen kann als 
Grundverarbeitungsmodus, also als Default-Modus der Sicherheitsmodus SM vorgesehen 
sein (ebenso nattirlich der Leistungsmodus). Bei Vorhandensein einer Kennung wird 
dann entsprechend in den Leistungsmodus umgeschaltet (oder umgekehrt in den 
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Sicherheitsmodus). Andererseits kann es erfindungsgem&Q auch vorgesehen sein, dass 
grundsatzlich eine Kennung vorhanden sein muss und aus dem Inhalt der Kennung, also 
insbesondere deren Bitwertes auf den entsprechenden Modus geschlossen wird. Dabei ist 
dann beispielsweise ein Binanvert 1 (oder auch ein anderer Wert, insbesondere der 
dominante Wert) dem Sicherheitsmodus SM zugeordnet und der BinSrwert 0 (oder auch 
ein anderer Wert insbesondere der rezessive Wert) dem Leistungsmodus LM. BezQglich 
der Oberlegung von dominant und rezessiv hat dies zur Folge, dass bei einem Fehler oder 
einem Ausfall in der Regel der dominante Wert und somit der Sicherheitsmodus 
eingestellt ist. Entsprechend Zeile Z4 ist nun mit Kennung Kl ein Binarwert Bl, also 
Kl/Bl vorhanden, welcher beispielsweise anzeigt, dass das Aufgabenprogramm der 
Zeilen Z4 bis Z6 im Progranun PI im Leistungsmodus abgearbeitet werden kann, obwohl 
beispielsweise Progranun PI im Sicherheitsmodus abgearbeitet werden muss. Wie den 
Kennungen Kl, K2 und K13 anzusehen, konnen diese unterschiedlich lang sein, so dass 
beispielsweise bei Kennung K2 gemaD Zeile Z7 3 Bit, Bl bis B3, die Kennung 
ausmachen, so dass zum Einen mit Bit Bl bei K2 Sicherheitsmodus SM oder 
Leistungsmodus LM entschieden wird und beispielsweise die Bits B2 und B3 die 
Zeilenzahl angeben, fiir welche dieser Modus, beispielsweise der Sicherheitsmodus, gilt, 
so dass das gesamte Programm P2 oder auch nur ein Teil davon im Sicherheitsmodus 
abgearbeitet wird. Ebenso konnen Codeblocke, also Programmteile, die beispielsweise 
keine Gesamtaufgabe umfassen, also kein Aufgabenprogramm darstellen, hier mit CB 
dargestellt, durch eine Kennung, wie hier K3 einem Modus zugeordnet werden. Hier 
kann dann neben der Betriebsmodizuordnung mit Bit Bl bei K3 beispielsweise auch eine 
Anfangszeile oder Adresse mit Bits B2 und B3 bei K3 imd eine Endzeile oder Endadresse 
mit Bits B4 und BS bei K3 angegeben sein, so dass ein spezieller Bereich in einem 
entsprechend zugeordneten Betriebsmodus abgearbeitet wird. Eine solche 
Kennungszuordnung kann gemaB K4 aber auch bei einzelnen Befehl PB3 in Z19 oder 
auch bei jedem Befehl erfolgen. Wie dargestellt, k5nnen also diese Kennungen 
volistandigen Programmen oder Aufgabenprogrammen AP oder Programmteilen CB, 
oder auch einzelnen Programmbefehlen PB, hier PBS, zugeordnet sein, was dann eine 
entsprechende Umschaltung durch die Umschalteinrichtung 17 auslost. Durch die 
Abfrage in Block 210 oder auch in den Blocken 320 und 321 wird dann das 
Vorhandensein einer solchen Kennung Kl bis K4 oder KB iiberpruft respektive deren 
Inhalt umgeschaltet. Dabei kann die Kennung, wie hier dargestellt, als wenigstens ein Bit 
ausgebildet sein, aber auch mehrere Bits umfassen, zum Einen abhangig von der 
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unterschiedlichen Anzahl der Betriebsmodi, zum Anderen bedingt durch 
Zusatzinformationen wie die Anzahl der Zeilen oder eine Anfangs- oder Endadresse. 

In einer speziellen Ausfuhrungsform kann wenigstens ein Programmbefehl vorgesehen 
5 sein, hier PBl, PB2 oder auch PBS, der eine Kennung erst erzeugt, die anzeigt, ob im 

ersten oder zweiten Betriebsmodus abzuarbeiten ist. Dabei kann die Kennung in einem 
bestimmten Speicherbereich SSB eingeschrieben werden, wie hier mit KB in ZS2 
dargestellt. Dieser Bereich SSB kann sich in einem Register, in einem in der CPU 
integrierten Speicher, aber auch in einem dazu extemen Speicher befinden. Dabei kann 

10 als diese Kennung KB erzeugender Befehl ein Spezialbefehl, z. B. PBS vorgesehen sein 

oder aber ein Befehl, der bereits im Befehissatz der Prozessoreinheit vorhanden ist. Als 
Spezialbefehl kann somit beispielsweise eben ein Befehl "erzeuge Kennung" 
implementiert werden, oder es kann auf einen im Prozessorbefehlssatz bereits 
vorhandenen Befehl, insbesondere einen Schreibbefehl zuriickgegriffen werden, wie hier 

15 durch PBl und PB2 dargestellt, so dass in Z9 der Schreibbefehl WR in den 

Speicherbereich KB den Binarwert 0 einschreibt, dargestellt durch WR (KB: 0) und 
damit alle nachfolgenden Zeilen, solange die Kennung KBO ist, z. B. im 
Sicherheitsmodus abgearbeitet werden. Mit dem selben Befehl kann dann in Z12 bei PB2 
durch WR (KB: 1) in den Speicherbereich fiir die Kennung KB der Wert 1 eingegeben 

2 0 werden, so dass ab diesem Zeitpunkt die nachfolgenden Zeilen, z. B. im Leistungsmodus, 

abarbeitbar sind. D. h. durch einfache kennungserzeugende Befehle insbesondere ein 
simpler Schreibbefehl WR kann dann beispielsweise in einem speziellen Speicherbereich, 
der regelmafiig abgefragt wird, eine entsprechende Umschaltkennung KB erzeugt 
werden. 

25 

Damit sind eine Vielzahl erfindungsgemaBer Moglichkeiten dargestellt, eine 
Betriebsmodiumschaltung bei einer Prozessoreinheit mit zwei Ausfuhrungseinheiten 
aufgrund einer Kennung durch2aifuhren. Damit sind die genannten Vorteile der Erfindung 
erzielbar. 
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10 AnsprQche 

1. Verfahren zur Umschaltung zwischen wenigstens zwei Betriebsmodi (SM, LM) 
einer Prozessoreinheit (100, 101) mit wenigstens zwei Ausfuhmngseinheiten (ALUA, ALUB) 
zur Abarbeitung von Programmen (PI, P2, P3), dadurch gekennzeichnet, dass wenigstens den 

15 Programmen (PI, P2, P3) wenigstens eine Kennung (K2) zugeordnet ist, welche eine 

Unterscheidung in die wenigstens zwei Betriebsmodi (SM, LM) eriaubt und eine 
Umschaltung zwischen den Betriebsmodi in AbhSngigkeit von der Kennung (K1-K4, KB) 
erfolgt, so dass die Prozessoreinheit (100, 101) die Programme (PI, P2, P3) entsprechend des 
zugeordneten Betriebsmodus abarbeitet. 

20 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) Aufgabenprogramme (AP) enthalten oder diese bilden und den einzelnen 
Aufgabenprogrammen (AP) jeweils die Kennung (Kl) zugeordnet ist. 

25 3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 

P3) aus einzelnen Programmteilen (CB) bestehen oder diese enthalten und den einzelnen 
Programmteilen (CB) jeweils die Kennung (K3) zugeordnet ist. 

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Progranune (PI, P2, 

30 P3) aus einzelnen Progranmibefehlen (PB) bestehen und den emzelnen Programmbefehlen 

(PB) jeweils die Kennung (K4) zugeordnet ist. 



5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 

P3) zu einem Betriebssystem der Prozessoreinheit (100, 101) gehoren oder das 
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Betriebssystem darstellen. 

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) zur Steuerung von Betriebsabiaufen eines Fahrzeugs eingesetzt werden. 

7. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein erster Betriebsmodus 
vorgesehen ist, der einem Sicherheitsmodus (SM) entspricht, bei dem die zwei 
Ausfuhrungseinheiten (ALUA, ALUB) gleiche Programme (AP, P2) redundant abarbeiten. 

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass bei der Abarbeitung der 
Programme (AP, P2) entstehende ZustSnde oder Ergebnisse (ResultA, ResultB) auf 
Obereinstimmung verglichen (14) werden und bei Abweichung auf Fehler erkannt wird. 

9. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Programme (AP, P2) 
synchron abgearbeitet werden. 

10. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass im zweiten 
Betriebsmodus, der emem Leistungsmodus (LM) entspricht, jede Ausfuhrungseinheit 
(ALUA, ALUB) unterschiedliche Programme (PI, P2, P3) abarbeitet 

11. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Kennung (Kl, KB) 
als wenigstens ein Bit (Kl/Bl) ausgebildet ist. 

12. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein Programmbefehl 
(PBl, PB2, PB3) vorgesehen ist der eine Kennung (KB) erzeugt, die anzeigt, ob im ersten 
oder zweiten Betriebsmodus abzuarbeiten ist. 

13. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Kennung (KB) in 
einem bestimmten Speicherbereich (SSB) eingeschrieben ist. 

14. Verfahren nach Anspruch 12 oder 13, dadurch gekennzeichnet, dass die Kennung 
(KB) durch einen in einem Befehlssatz der Prozessoreinheit vorgesehenen Befehl (PBl , PB2) 
erzeugt wird. 
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15. Verfahren nach einem der Anspriiche 12-14, dadurch gekennzeichnet, dass die 
Kennung (KB) durch einen Schreibbefehl (WR) erzeugt wird. 

16. Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi (LM, SM) 
einer Prozessoreinheit (100, 101) zur Abarbeitung von Programmen (PI, P2, P3) mit 
wenigstens zwei Ausfuhrungseinheiten (ALUA, ALUB), wobei Umschaltmittel (8, 9) 
enthalten sind, durch welche umgeschalten werden kann, dadurch gekennzeichnet, dass diese 
Umschaltmittel (8, 9) wenigstens den Programmen (PI, P2, P3) wenigstens eine Kennung 
(K1-K4, KB) zuordnen, welche eine Unterscheidung in die zwei Betriebsmodi (LM, SM) 
erlaubt und die Umschaltmittel (8, 9) derart ausgestaltet sind, dass diese in AbhMngigkeit von 
der Kennung zwischen den Betriebsmodi umschalten und die Prozessoreinheit die 
Programme entsprechend des zugeordneten Betriebsmodus abarbeitet. 

17. Vorrichtung nach Anspruch 16, dadurch gekennzeichnet, dass als wenigstens zwei 
Ausfuhrungseinheiten entsprechend wenigstens duplizierte Rechenwerke (ALUA, ALUB) 
vorgesehen sind. 

1 8. Prozessoreinheit (100, 101) zur Abarbeitung von Programmen (PI, P2, P3) mit 
wenigstens zwei Ausfuhrungseinheiten (ALUA, ALUB), wobei Umschaltmittel (8, 9) 
enthalten sind, durch welche zwischen wenigstens zwei Betriebsmodi (LM, SM) der 
Prozessoreinheit umgeschalten werden kann, dadurch gekennzeichnet, dass diese 
Umschaltmittel (8, 9) wenigstens den Programmen (PI, P2, P3) wenigstens eine Kennung 
(K1-K4, KB) zuordnen, welche eine Unterscheidung in die zwei Betriebsmodi (LM, SM) 
erlaubt und die Umschaltmittel (8, 9) derart ausgestaltet sind, dass diese in Abhangigkeit von 
der Kennung zwischen den Betriebsmodi umschalten und die Prozessoreinheit die 
Programme entsprechend des zugeordneten Betriebsmodus abarbeitet. 
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